Лекции Толстого / Толстой риски

необходимые сроки, согласованные с руководством организации. Эффективное управление непрерывностью бизнеса зависит от управления непрерывностью ИКТ, чтобы гарантировать, что организация всегда способна достичь своих целей, особенно в моменты сбоя.

22. В чем может заключаться различие между требованиями к системам управления непрерывностью бизнеса и к процессу управления непрерывностью бизнеса?

Различие может заключаться в том, что требования к системам управления непрерывностью бизнеса устанавливает то, как и какие именно процессы процессы происходят в системе в случае инцидентов и нарушения ее деятельности, а требования к процессу управления непрерывностью бизнеса устанавливают как происходит процесс, что подается на вход и что получается на выходе

_____________________________________________________________________________

__

Непрерывность бизнеса (НБ): стратегическая и тактическая способность организации планировать свою работу в случае инцидентов и нарушения ее деятельности, направленная на обеспечение непрерывности бизнес-операций на установленном приемлемом уровне (англ. business continuity).

Системой управления называют систему, в которой реализуются функции управления. Она объединяет управляющую систему и систему связи.

Главные вопросы, стоящие перед системой управления, – чем (объект управления) и как (технологии и инструменты) управлять.

Процессы управления (менеджмента), относящиеся к стратегическому планированию, постановке целей и установлению политик, обеспечению коммуникаций и т.п. Назначение процесса – управление деятельностью организации; результат – деятельность всей организации. По своей природе управленческие задачи являются информационными

23. Каковы основные цели следования модели PDCA при построении процесса управления инцидентами ИБ в соответствии с требованиями ГОСТ Р ИСО/МЭК ТО 18044?

Целями следования этой модели является обеспечение уверенности в том, что:

·события и инциденты ИБ выявляются и обрабатываются эффективным образом, в особенности в части классификации событий ИБ;

·выявленные в организации инциденты ИБ учитываются и обрабатываются наиболее подходящим и эффективным для них образом;

·последствия инцидентов ИБ могут быть минимизированы в процессе реагирования на инциденты, возможно с привлечением процессов ОНБ;

·за счет анализа событий и инцидентов ИБ повышается вероятность предотвращения инцидентов в будущем, улучшаются механизмы и процессы ОИБ.

24.Какие тенденции характерны для развития стандартизации управления ИБ в Российской Федерации?

Дальнейшее развитие стандартов серии 27000 включает в себя появление стандартов, более подробно раскрывающих требования к отдельным процессам управления ИБ. Базируясь на единой структуре и методологии, заложенной в ISO/IEC 27001:2005, они предоставляют руководства по управлению ИБ для различных сфер деятельности, включая финансовый и страховой сектор, здравоохранение, телекоммуникации и т.д.

В международных и российских стандартах и руководящих документах ПолИБ в основном определяется как ПолИБ организации:

·совокупность требований и правил по ОИБ для объекта ИБ, выработанных в соответствии с требованиями руководящих и нормативных документов в целях противодействия заданному множеству угроз ИБ, с учетом ценности защищаемой информационной сферы и стоимости СОИБ (Гостехкомиссия России. «Информационная безопасность и защита информации». Сборник терминов и определений. М., 2001.)

·документированные решения в области ОИБ (ГОСТ Р ИСО/МЭК 27005–2010

«Информационная технология. Методы и средства обеспечения безопасности. Менеджмент риска информационной безопасности». М.: Стандартинформ, 2011.)

·совокупность (одно или несколько) документированных правил, процедур, практических приемов в области безопасности, которыми руководствуется организация в своей деятельности (ГОСТ Р 50922–2006 «Защита информации. Основные термины и определения». М.: Стандартинформ, 2008.), (ГОСТ Р ИСО/МЭК 15408–1–2008 «Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Введение и общая модель». М.: Стандартинформ, 2009.)

·совокупность документированных правил, процедур, практических приемов или руководящих принципов в области безопасности информации, которыми руководствуется организация в своей деятельности (ГОСТ Р 50922–2006 «Защита информации. Основные термины и определения». М.: Стандартинформ, 2008.)

·формальная спецификация правил и рекомендаций, на основе которых пользователи используют, накапливают и распоряжаются информационными ресурсами и технологическими ценностями (Рекомендации в области стандартизации Банка России РС БР ИББС-2.1 «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Руководство по самооценке соответствия информационной безопасности организаций БС РФ требованиям СТО БР ИББС-1.0».)

·одно или несколько правил, процедур, практических приемов в области безопасности, которыми руководствуется организация в своей деятельности. (ISO/IEC 15408– 2:2008 «The Common Criteria for Information Technology Security Evaluation. Security functional components».)

32. В чем различие политик, стандартов, правил и процедур ОИБ?

ПолИБ в широком смысле определяется как система документированных управленческих решений по ОИБ организации.

ПолИБ в узком смысле – отдельный нормативный документ, определяющий требования безопасности, систему мер и/или порядок действий, а также ответственность сотрудников организации и средства управления для определенной области ОИБ.

Политика информационной безопасности (ПолИБ) (англ. IS policy): набор норм, правил и практических приемов, которые регулируют управление, защиту и распределение ценной информации. Это правила разграничения доступа, регламентирующие права доступа субъектов доступа к объектам доступа.

Стандарт (англ. sta ndard) представляет собой правило, указывающее конкретное направление действий или ответную реакцию на данную ситуацию. Стандарты являются директивными указаниями (директивами), которые должны выполняться в соответствии с политиками и которые используются для определения соответствия этим политикам. Стандарты служат спецификациями для осуществления политик. Стандарты разработаны в целях содействия осуществлению высокоуровневой политики организации.

При разработке стандартов используются лучшие практики, накопленные в данной области. Тоже самое относится и к процедурам.

Процедуры (англ. procedures) определяют конкретно, как политики, стандарты будут реализованы в данной ситуации. Процедуры – это технологии или процессы, зависимые от и имеющие отношение к конкретным платформам, приложениям или процессам. Они используются для выработки шагов, которые должны быть предприняты на организационном уровне для ОИБ отдельных систем и процессов. Процедуры, как правило, разработаны, реализованы и обеспечены организацией, владеющей процессом или системой. С целью обеспечения конкретных технических или процедурных требований внутри организации, где они применяются, процедуры как должны можно точнее поддерживать организационные политики, стандарты руководства. Примеры процедур: сертификация и аккредитация, оценка рисков ИБ, обнаружение вторжений, тесты на проникновение, реагирование на чрезвычайные ситуации, восстановление после аварий, резервирование, реагирование на инциденты ИБ.

выполняться другие требования. Они уточняют, что должно быть сделано и как с целью достижения целей, установленных в ПолИБ. Руководство является общим заявлением, используемым в качестве рекомендации или предлагающим подход

косуществлению политики и стандартов, например, при ОИБ

33.Что такое трастовые модели?

Трастовые модели (модели доверия) - модели, имеющие дело с предположениями, ожиданиями и поведением (модели, при которых «всего должно быть в меру, в том числе доверия и недоверия»).

Трастовые модели - основа Политики ИБ

Три вида трастовых моделей:

1.Либеральная: доверять всем и всегда

2.Запретительная: не доверять никому и никогда

3.Компромиссная: доверять некоторым иногда и степень доверия периодически пересматривать.

34.С каких точек зрения и как можно описать виды ПолИБ?

Всовременной практике ОИБ термин ПолИБ может употребляться как в широком, так и в узком смысле [86].

ПолИБ в широком смысле определяется как система документированных управленческих решений по ОИБ организации.

ПолИБ в узком смысле – отдельный нормативный документ, определяющий требования безопасности, систему мер и/или порядок действий, а также ответственность сотрудников организации и средства управления для определенной области ОИБ.

Также различают:

1) корпоративную ПолИБ – ПолИБ организации в целом; такие политики называют также ПолИБ верхнего, или программного, уровня (англ. program-level)

системам (англ. system-specific) [87], ориентированная на отдельную область ОИБ или технологию, используемую в организации/ее подразделении. Например, это ОНБ (в части, касающейся ИБ), ОИБ телекоммуникационных систем и сервисов, антивирусная защита, доступ в Интернет, использование средств криптографической защиты и т.д. В них формулируются требования на создание и эксплуатацию СЗИ, организацию информационных и бизнес-процессов

детализирующая положения ПолИБ применительно к одной или нескольким областям ИБ, видам и технологиям деятельности организации. Таким образом, частные ПолИБ являются составляющими корпоративной ПолИБ организации, поскольку конкретизируют ее, а отдельная частная ПолИБ – это ПолИБ в узком смысле.

3) ПолИБ подразделений организации; могут даже создаваться ПолИБ для

клиентов, аудиторов и т.п.).

35. Что понимают под ПолИБ в широком и узком смыслах?

ПолИБ в широком смысле определяется как система документированных управленческих решений по ОИБ организации.

ПолИБ в узком смысле – отдельный нормативный документ, определяющий требования безопасности, систему мер и/или порядок действий, а также ответственность сотрудников организации и средства управления для определенной области ОИБ.

36. Для чего разрабатываются организационные (административные) и технические ПолИБ?

Административная или организационная ПолИБ (англ. organisational security policy) и есть ПолИБ в выше определенном понимании. Она обычно излагается в документах трех уровней. Документы верхнего уровня носят общий характер и определяют ПолИБ для организации в целом. Второй уровень выделяют в случае структурной сложности организации или при необходимости обозначить специфичные области деятельности, подразделения, технологии, подсистемы и т.п. Третий уровень относится к конкретным службам или подразделениям организации и детализирует верхние уровни ПолИБ. На данном уровне определяются конкретные цели, частные критерии и показатели ИБ, задаются права групп пользователей, формулируются условия доступа к информации, выводятся правила ОИБ и т.п.

Техническая ПолИБ (англ. technical security policy) – совокупность законов, правил и практических методов, регулирующих обработку чувствительной информации и использование ресурсов ПО и АО ИС.

Техническая ПолИБ базируется на правилах двух видов:

а) первая группа связана с заданием правил разграничения доступа ко всем информационным ресурсам организации;

б) вторая – основана на правилах анализа сетевого трафика как внутри интранета, так и при его выходе или входе из интранета.

В основе этих правил лежит принцип доверия – пользователям, приложениям, процессам, БД, файлам и т.п. Поэтому определяя техническую ПолИБ, нужно установить, насколько можно доверять людям и информационным ресурсам, поскольку возможны атаки с подменой («маскарадом») ресурсов

(англ. spoofing).

37. Перечислите основные требования, предъявляемые в различных источниках к ПолИБ?

ПолИБ должна быть:

•обязательно согласована с общепризнанными основами теории ИБ, со всеми существующими нормативными и правовыми документами, соблюдение которых требуется от организации в стране ее функционирования, а также директивами, законами, приказами и общими задачами самой организации;

•интегрирована в общую политику организации и согласована с другими политиками (например, политикой приема/найма на работу);

•краткой (лучшие практики указывают на объем не более 10 страниц), простой для понимания и не допускать двойного толкования ее положений;

•наглядной. Это способствует ее эффективной реализации, помогая гарантировать ее знание и понимание всеми сотрудниками организации. Видеофильмы, семинары, статьи во внутренних изданиях организации или на ее внутреннем веб-узле увеличивают такую наглядность;

•надлежащим образом доведена в доступной и понятной форме до сведения всех сотрудников организации, с которой они должны ознакомиться чаще всего под расписку. Программа обучения в области ИБ и контрольные проверки действий в тех или иных ситуациях могут достаточно эффективно демонстрировать всем пользователям действенность соблюдения ПолИБ;

•реализуема (т.е. содержать только те положения, которые могут быть реализованы на практике), а ее реализация контролируема;

•утверждена высшим руководством организации и издана.

Также ПолИБ должна:

•обеспечивать разумный баланс между защитой и при этом не влиять на эффективность работы сотрудников организации, т.е. не снижать результативность их работы;

•устанавливать ответственность руководства и излагать подход организации к управлению ИБ;

•регулярно (через запланированные промежутки времени, по графику) анализироваться. Анализ должен включать в себя оценивание возможностей для улучшения ПолИБ и подходов к управлению ИБ в ответ на изменения в окружении организации, бизнес-обстоятельствах, юридических условиях или в технической среде. Анализ ПолИБ должен учитывать результаты ее анализа со стороны руководства;

•регулярно пересматриваться и модифицироваться (особенно в случае возникновения значительных изменений в текущем развитии организации) согласно разработанной заранее процедуре. Периодические пересмотры должны включать проверку соответствия ПолИБ актуальной законодательной базе, оценку ее эффективности, исходя из характера, числа и последствий зарегистрированных инцидентов ИБ, определение стоимости мероприятий по управлению ИБ и их влияние на бизнес, анализ влияния изменений в технологиях на деятельность организации. Такая процедура должна обеспечивать осуществление пересмотра ПолИБ в соответствии с изменениями, затрагивающими первоначальную оценку рисков ИБ, например, путем выявления существенных инцидентов ИБ, появление новых уязвимостей или изменения организационной или технологической инфраструктуры организации. Пересмотр и модификация ПолИБ обеспечивает ей адекватность и результативность. Пересмотренная

ПолИБ должна быть утверждена руководством.

Должно быть назначено ответственное за ПолИБ должностное лицо, которое отвечает за ее реализацию и пересмотр в соответствии с установленной процедурой.

При распространении ПолИБ за пределы организации следует позаботиться о том, чтобы не раскрыть важную (конфиденциальную, критичную) информацию (англ. sensitive information), потеря, раскрытие или уничтожение которой по тем или иным причинам нежелательны для бизнеса или её владельца.

38. Каковы основные принципы, позволяющие разработать эффективную ПолИБ?

В разрабатываемой ПолИБ обязательно должны быть отражены определенные принципы, которыми целесообразно руководствоваться при ее использовании и поддержании ИБ в организации на требуемом уровне. В таблице сформулированы соответствующие принципы и отражены ожидаемые результаты их реализации.